Dal sito ufficiale del CERT (Computer Emergency Response Team) Nazionale:
“È stato rilasciato un aggiornamento di sicurezza che risolve una vulnerabilità considerata critica del noto CMS WordPress, presente nelle versioni fino alla 5.1.
In particolare, l’aggiornamento, che porta la versione corrente di WordPress alla 5.1.1, risolve una vulnerabilità di tipo cross-site request forgery (CSRF) che potrebbe consentire ad un attaccante remoto di iniettare in maniera permanente codice HTML e JavaScript arbitrario in un sito WordPress, realizzando quindi attacchi di tipo stored cross-site scripting (XSS).
La vulnerabilità è legata alla modalità con cui WordPress filtra il contenuto dei commenti ai post, che non vengono opportunamente validati prima di essere memorizzati nel database. Un attaccante potrebbe sfruttare questa falla facendo in modo che un utente di un sito WordPress con i commenti abilitati visiti un sito Web malevolo opportunamente predisposto. Se la vittima dispone dei privilegi di amministratore sul sito bersaglio, l’attacco può persino consentire l’iniezione e l’esecuzione di codice PHP arbitrario da remoto, con conseguente compromissione del server.
Si raccomanda a tutti i gestori di siti Web che utilizzano questo CMS di aggiornare il prima possibile la propria piattaforma.”
Link alla fonte: https://www.certnazionale.it/news/2019/03/14/risolta-vulnerabilita-critica-in-wordpress-5-1-1/